From 27d147abe6e138f5fcaf5b4ea3b966165748e9ec Mon Sep 17 00:00:00 2001
From: Sergey Matveev <stargrave@stargrave.org>
Date: Sun, 29 Dec 2024 14:04:43 +0300
Subject: [PATCH] =?utf8?q?=D0=9E=D1=82=D0=BA=D0=BB=D1=8E=D1=87=D0=B8=D0=BB?=
 =?utf8?q?=20TLS=20=D0=BD=D0=B0=20SMTP?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

Во второй раз заметил, что одного облака моё письмо не отправилось,
так как наши сервера не могут подключиться по TLS. Причём, у меня
даже нет настроек/ограничений на версию TLS. Обычный штатный OpenSSL
и Postfix из портов FreeBSD. И политика TLS безопасности: may -- то
есть мои серверы даже не требуют его использование.

Я неоднократно видел, что люди отказываются поддерживать TLS на SMTP
серверах. Но я удивлялся: ведь с may политикой, без ограничений на шифры
и версии TLS, без обязательной проверки сертификатов, неужели что-то не
будет работать? Убедился что да -- не будет, по хз каким причинам.
Прежде я знал только gosuslugi.ru, который долгое время не поддерживал
TLS 1.2+, если ничего не путаю.

А ещё меня бесил gmail.com, который вроде бы и ML-KEM постквантовый
может в SMTP TLS 1.3 согласовать, но не поддерживает Ed25519
сертификаты. Отказывается общаться с сервером при их использовании,
никакого fallback-а не будет делать. ECDSA сертификаты я держал
исключительно только на SMTP серверах своих. И в Google явно политика
против Ed25519 сертификатов (слишком безопасны и хороши?).

Задолбали все эти кривые руки/софт из-за которых SMTP не работает.
Причём особенностью TLS в SMTP является полное отсутствие гарантий о
том, что сообщение где-то дальше по пути не будет передано в открытом
виде. Если мой web-обозреватель и web-сервер это как-бы (забываем про
CDN) точка-точка соединение, то SMTP это множество hop-ов, где TLS между
двумя не означает что весь будет был защищён TLS-ом.

Пока отключил TLS вообще. Знаю что есть несколько почтовых провайдеров
отказывающихся общаться не по TLS. Идут в жопу. Ибо это театр безопасности
в контексте SMTP. А скоро (или уже, просто не замечал?) наверняка особо
продвинутые админы будут требовать валидности сертификатов, очевидно
проверяемых напротив НАТОвских якорей доверия.
-- 
2.51.0